Udviklerne af platformen for decentraliseret beskedudveksling, Matrix, har annonceret en nødafbrydelse af serverne Matrix.org og Riot.im (den primære Matrix-klient) på grund af et hack af projektets infrastruktur. Den første afbrydelse fandt sted i går aftes, hvorefter servernes funktion blev genoptaget, og applikationerne blev genopbygget fra de officielle kildekoder. Men for få minutter siden blev serverne kompromitteret for anden gang.
Angriberne har offentliggjort detaljerede oplysninger om serverkonfiguration og beviser for, at de besidder en database med hashes fra næsten fem og en halv millioner brugere af Matrix. Som bevis er hash af projektlederen for Matrix blevet offentliggjort. Den ændrede kode til hjemmesiden er offentliggjort i angribernes repository på GitHub (ikke i det officielle matrix-repository). Der mangler endnu detaljer om det andet hack.
Efter det første hack offentliggjorde Matrix-teamet en rapport, der angav, at indtrængen blev udført via en sårbarhed i den ikke-opdaterede Jenkins CI-system. Efter at have fået adgang til server Jenkins, havde angriberne mulighed for at opsnappe SSH-nøgler og få adgang til andre servere i infrastrukturen. Det blev oplyst, at kildekoden og pakkerne ikke blev ramt af angrebet. Angrebet berørte heller ikke serverne hos Modular.im. Men angriberne fik adgang til den primære databasesystem (DBS), hvorunder også usikrede beskeder, adgangstokens og password-hashes opbevares.
Alle brugere blev påbudt at ændre deres adgangskoder. Men under ændringen af adgangskoderne i den primære klient, Riot, stødte brugerne på problemer med tab af filer med backup-nøgler til gendannelse af krypterede beskeder og manglende adgang til historikken for tidligere beskeder.
Vi minder om, at platformen til organisering af decentraliseret kommunikation, Matrix, præsenteres som et projekt, der bruger åbne standarder og lægger stor vægt på at sikre brugerens sikkerhed og privatliv. Matrix tilbyder end-to-end kryptering baseret på den velafprøvede Signal-algoritme, understøtter søgning og ubegrænset gennemsyn af beskedhistorik, kan bruges til filoverførsel, sending af meddelelser, vurdering af udviklerens online tilstedeværelse, organisering af videokonferencer, samt til stemme- og videoopkald. Der understøttes også avancerede funktioner som tekstindtastningsnotifikationer, læsebekræftelse, push-notifikationer og server-side søgning, synkronisering af historik og klientstatus, forskellige identifikatorer (e-mail, telefonnummer, Facebook-konto osv.).
Kilde: opennet.ru
